Mitä tapahtui
Alankomaiden tietosuojaviranomainen määräsi 10. syyskuuta 2026 Uberille 824 990 000 euron seuraamusmaksun. Vuosina 2018–2022 ohjelmisto seurasi kuljettajien ajokäyttäytymistä ja asiakkaiden arvioita: jos se havaitsi petosepäilyn tai liian huonot arviot, se sulki tilin automaattisesti, joskus tilapäisesti ja jatkuvasti huonojen arvioiden vuoksi pysyvästi. Sulkemisen ajan kuljettaja menetti Uberista saamansa tulot. Ihmisen tekemää arviota ei ollut, eikä kuljettajille kerrottu riittävästi. Tapaus alkoi 171 ranskalaisen kuljettajan valituksista, jotka Ligue des droits de l'Homme toimitti CNIL:lle; asian käsitteli Alankomaiden viranomainen, koska Uberin eurooppalainen pääkonttori on Alankomaissa. Euroopan tietosuojaneuvosto julkaisi päätöksen 8. lokakuuta.
Uber on lopettanut rikkomukset ja ilmoittanut hakevansa muutosta. Yhtiön mukaan pysyvissä sulkemisissa oli mukana ihmisiä. Kyse on Alankomaiden neljännestä seuraamuksesta Uberille, aiemmat olivat 600 000 euroa 2018, 10 miljoonaa 2023 ja 290 miljoonaa 2024, ja se on toiseksi suurin GDPR-sakko Metan vuoden 2023 sakon jälkeen. Yläraja on 4 % maailmanlaajuisesta liikevaihdosta: vuonna 2025 Uberin liikevaihto oli noin 44,5 miljardia euroa.
Miksi ongelma ei ole algoritmi vaan puuttuva ihminen
22 artikla ei kiellä pisteytyksen käyttöä. Se kieltää antamasta pisteytyksen päättää yksin, kun päätöksellä on oikeusvaikutuksia tai se vaikuttaa henkilöön vastaavalla tavalla merkittävästi. Tulojen menettäminen yhdessä yössä on juuri tällainen vaikutus. 2 kohdan poikkeukset (sopimus, laki, suostumus) eivät yksinään riitä: 3 kohta edellyttää silti oikeutta vaatia ihmisen osallistumista, esittää kantansa ja riitauttaa päätös.
- Ihmisen osallistumisen on oltava todellista: henkilö, jolla on valta ja osaaminen muuttaa lopputulosta, ei joku joka hyväksyy massana.
- Sen on oltava mahdollista ennen kuin päätös tulee voimaan, ei vain jälkikäteisenä valituksena.
- Asiakasarviot ja petossignaalit ovat kuljettajan henkilötietoja, ja niiden yhdistäminen on profilointia.
- Tietosuojaselosteessa on kerrottava automaattisesta päätöksenteosta, sen logiikasta ja odotettavista seurauksista (13 artiklan 2 kohdan f alakohta).
- Automaattisesti sulkeva järjestelmä on korkean riskin käsittelyä: ennen käyttöönottoa tarvitaan vaikutustenarviointi.
Kysymys asiakkaillesi tällä viikolla
Onko järjestelmää, joka estää, sulkee pois tai alentaa henkilön ilman, että kukaan katsoo ensin? Vastauksia löytyy yllättävistä paikoista: CRM, joka jäädyttää maksunsa laiminlyöneen asiakkaan, alusta, joka pudottaa toimittajan kynnysarvon alapuolella, henkilöstöjärjestelmä, joka estää kulkukortin poikkeamien jälkeen, suodatin, joka karsii ansioluetteloita. Jokaisesta tarvitaan kirjallisesti kolme asiaa: kuka tarkistaa päätöksen, missä ajassa ja miten henkilölle kerrotaan ja miten hän voi riitauttaa sen.
Tapaus merkitsee muutakin kuin Alankomaita. Se sovitettiin yhteen muiden eurooppalaisten viranomaisten kanssa, CNIL teki yhteistyötä Alankomaiden viranomaisen kanssa, ja 2. joulukuuta 2026 alkaen alustatyödirektiivi tuo vielä tiukemmat säännöt algoritmisten päätösten ihmisvalvonnasta. Päätöksestä on kuitenkin haettu muutosta: se on vahva viesti siitä, miten viranomaiset tulkitsevat 22 artiklaa, ei vielä vakiintunutta oikeutta.
Käytännössä: käsittelytoimien selosteeseen jokaisen pisteytystä tai automaattisia sääntöjä käyttävän käsittelyn kohdalle rivi, josta käy ilmi, onko kyse 22 artiklan mukaisesta automaattisesta päätöksestä, mikä poikkeus sen oikeuttaa ja kuka sen tarkistaa. Jos rivi puuttuu, se kirjoitetaan ensimmäisenä: sitä viranomainen kysyisi ensimmäiseksi.
Virallinen lähde:Autoriteit Persoonsgegevens — Uber krijgt boete van bijna 825 miljoen euroVirallinen lähde:EDPB — Dutch DPA fines Uber EUR 824 990 000 for unlawful automated decision-makingEtsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
